ਅੰਦਰੂਨੀ ALB, ਜਨਤਕ DNS ਨਾਮ: ਕੀ ਇਹ ਸੱਚਮੁੱਚ ਖੁੱਲ੍ਹਾ ਹੈ?

ਅੰਦਰੂਨੀ ਲੋਡ ਬੈਲੰਸਰ ਵਿਰੁੱਧ ਜਨਤਕ DNS ਖੋਜ ਚਲਾਓ ਅਤੇ ਤੁਹਾਨੂੰ ਨਿੱਜੀ ਪਤਾ ਵਾਪਸ ਮਿਲ ਸਕਦਾ ਹੈ, ਜੋ ਰਿਕਾਰਡ ਕਿਸ ਲਈ ਹੈ ਇਹ ਜਾਂਚਣ ਤੱਕ ਗਲਤ ਸੰਰਚਨਾ ਵਰਗਾ ਲੱਗਦਾ ਹੈ। AWS ਦਰਜ ਕਰਦਾ ਹੈ ਕਿ ਅੰਦਰੂਨੀ ਲੋਡ ਬੈਲੰਸਰਾਂ ਦੇ ਨਾਮ ਜਨਤਕ ਤੌਰ 'ਤੇ ਹੱਲ ਹੋ ਸਕਦੇ ਹਨ, ਜਦੋਂ ਕਿ ਉਹਨਾਂ ਦੇ ਨੋਡ ਸਿਰਫ਼ ਨਿੱਜੀ ਪਤੇ ਰੱਖਦੇ ਹਨ। ਰਿਜ਼ੋਲਵਰ ਨੇ ਦੱਸਿਆ ਸੇਵਾ ਕਿੱਥੇ ਹੈ; ਇਸਨੇ ਕੋਈ ਰਾਹ ਨਹੀਂ ਬਣਾਇਆ, ਸੁਰੱਖਿਆ ਸਮੂਹ ਨਹੀਂ ਖੋਲ੍ਹਿਆ ਅਤੇ ਕਿਸੇ ਨੂੰ ਪ੍ਰਮਾਣਿਤ ਨਹੀਂ ਕੀਤਾ। ਉਹ ਜਵਾਬ ਸਮੱਸਿਆ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਉਹਨਾਂ ਤੱਥਾਂ 'ਤੇ ਨਿਰਭਰ ਹੈ ਜੋ ਤੁਸੀਂ ਕ੍ਰਮ ਵਿੱਚ ਜਾਂਚ ਸਕਦੇ ਹੋ।

ਪਹਿਲਾ ਕਦਮ: ਸਕੀਮ ਪੜ੍ਹੋ, IP ਨਹੀਂ

ਸਕੀਮ ਫੀਲਡ ਲੋਡ ਬੈਲੰਸਰ ਦਾ ਆਪਣੀ ਸੀਮਾ ਬਾਰੇ ਆਪਣਾ ਬਿਆਨ ਹੈ। aws elbv2 describe-load-balancers --names app-internal internal ਜਾਂ internet-facing ਮੁੱਲ ਵਾਲਾ Scheme ਵਾਪਸ ਕਰਦਾ ਹੈ, ਨਾਲ ਹੀ IPv4 ਜਾਂ ਦੋਹਰੇ ਸਟੈਕ ਲਈ ਪਤਾ ਕਿਸਮ। ਇੰਟਰਨੈੱਟ ਵੱਲ ਦਾ ਲੋਡ ਬੈਲੰਸਰ ਨਿੱਜੀ ਟਾਰਗਿਟਾਂ ਵੱਲ ਭੇਜ ਸਕਦਾ ਹੈ, ਇਸ ਲਈ ਨਿੱਜੀ ਬੈਕਐਂਡ ਪਤੇ ਦੇਖਣ ਨਾਲ ਸਾਹਮਣੇ ਵਾਲੇ ਹਿੱਸੇ ਬਾਰੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਹੁੰਦਾ।

ਕੋਈ ਹੋਰ ਚੀਜ਼ ਦੇਖਣ ਤੋਂ ਪਹਿਲਾਂ ਸਕੀਮ ਲਿਖ ਲਓ, ਕਿਉਂਕਿ ਹਰ ਅਗਲਾ ਫੈਸਲਾ ਇਸ 'ਤੇ ਨਿਰਭਰ ਹੈ। ਇਹ ਇਹ ਵੀ ਦੱਸਦੀ ਹੈ ਕਿ ਕਿਹੜੇ ਨਿਯੰਤਰਣ ਹਨ, ਸੁਰੱਖਿਆ ਸਮੂਹਾਂ ਅਤੇ ਲਿਸਨਰ ਨਿਯਮਾਂ ਤੋਂ ਲੈ ਕੇ ਉਸ ਲੋਡ ਬੈਲੰਸਰ ਕਿਸਮ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਤੱਕ। ਪੁਰਾਣੇ ਕੰਸੋਲ ਸਕ੍ਰੀਨਸ਼ੌਟ ਤੋਂ ਕਾਪੀ ਕੀਤੀ ਸਕੀਮ ਕਿਸੇ ਨੋਟ ਨਾ ਹੋਣ ਨਾਲੋਂ ਵੀ ਮਾੜੀ ਹੈ। ਇਸਨੂੰ API ਤੋਂ ਦੁਬਾਰਾ ਪੜ੍ਹੋ ਅਤੇ ਮੁੱਲ ਟਿਕਟ ਵਿੱਚ ਪੇਸਟ ਕਰੋ।

ਦੂਜਾ ਕਦਮ: ਨਾਮ ਕਿਸ ਵਿੱਚ ਹੱਲ ਹੁੰਦਾ ਹੈ ਦੇਖੋ

VPC ਤੋਂ ਬਾਹਰੋਂ dig +short app-internal-1234567890.eu-west-1.elb.amazonaws.com ਨਾਲ ਪੁੱਛੋ ਅਤੇ ਨੋਟ ਕਰੋ ਕਿ ਜਵਾਬ 10.0.0.0/8, 172.16.0.0/12 ਜਾਂ 192.168.0.0/16 ਵਿੱਚ ਹਨ। ਜਨਤਕ ਰਿਜ਼ੋਲਵਰ ਤੋਂ ਨਿੱਜੀ ਜਵਾਬ ਅੰਦਰੂਨੀ ਲੋਡ ਬੈਲੰਸਰ ਨਾਮ ਲਈ ਉਮੀਦਵਾਰ ਵਿਵਹਾਰ ਹੈ; ਇਹ ਸਬੂਤ ਨਹੀਂ ਕਿ ਪਤਾ ਇੰਟਰਨੈੱਟ ਤੋਂ ਰੂਟਯੋਗ ਹੈ।

ਉਹੀ ਨਾਮ VPC ਦੇ ਅੰਦਰੋਂ ਹੱਲ ਕਰੋ ਅਤੇ ਤੁਲਨਾ ਕਰੋ। ਜੇ ਦੋਵੇਂ ਜਵਾਬ ਵੱਖਰੇ ਹਨ, ਤੁਸੀਂ ਸਪਲਿਟ-ਹੋਰਾਈਜ਼ਨ ਨਾਮਕਰਨ ਦੇਖ ਰਹੇ ਹੋ, ਅਤੇ ਉਹ ਅੰਤਰ ਡਿਜ਼ਾਈਨ ਦੀ ਵਿਸਥਾਰ ਹੈ, ਲੀਕ ਨਹੀਂ।

ਤੀਜਾ ਕਦਮ: ਉਹ ਰਾਹ ਸੂਚੀਬੱਧ ਕਰੋ ਜੋ ਉੱਥੇ ਪਹੁੰਚ ਸਕਦੇ ਹਨ

ਨਿੱਜੀ ਪਤਾ ਉੱਥੋਂ ਪਹੁੰਚਯੋਗ ਹੁੰਦਾ ਹੈ ਜਿੱਥੇ ਰਾਹ ਅਤੇ ਸੁਰੱਖਿਆ ਨਿਯਮ ਹੋਵੇ। ਉਹਨਾਂ ਨੂੰ ਜਾਣ-ਬੁੱਝ ਕੇ ਸੂਚੀਬੱਧ ਕਰੋ: ਸਾਈਟ-ਟੂ-ਸਾਈਟ VPN, ਕਲਾਇੰਟ VPN, VPC ਪੀਅਰਿੰਗ, ਟ੍ਰਾਂਜ਼ਿਟ ਗੇਟਵੇ ਜੋੜ, Direct Connect ਅਤੇ VPC ਦੇ ਅੰਦਰ ਕੋਈ ਵੀ ਪ੍ਰੌਕਸੀ ਜਾਂ ਬੈਸਟੀਅਨ। ਉਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਇੱਛਤ ਰਾਹ ਹੈ, ਅਤੇ ਬਾਕੀ ਉਹ ਹਨ ਜੋ ਹਮਲਾਵਰ ਲੱਭੇਗਾ।

ਫਿਰ ਹਰ ਰਾਹ ਦੇ ਨਿਯੰਤਰਣ ਜਾਂਚੋ: ਲੋਡ ਬੈਲੰਸਰ 'ਤੇ ਸੁਰੱਖਿਆ ਸਮੂਹ, ਸਬਨੈੱਟਾਂ 'ਤੇ ਨੈੱਟਵਰਕ ACL, ਅਤੇ ਰਾਹ ਨੂੰ ਹੋਂਦ ਵਿੱਚ ਰੱਖਣ ਵਾਲੀ ਰੂਟਿੰਗ। ਖੁੱਲ੍ਹੀ ਅੰਦਰੂਨੀ ਸੇਵਾ ਦੇ ਬਹੁਤੇ ਰਿਪੋਰਟ ਕੀਤੇ ਕੇਸ ਇੱਥੇ ਹੱਲ ਹੁੰਦੇ ਹਨ, ਜਾਂ ਤਾਂ ਅਣਚਾਹੀ ਪੀਅਰਿੰਗ ਸੀ ਜਾਂ ਰਾਹ ਇੱਛਤ ਸੀ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਪ੍ਰਮਾਣਿਕਤਾ ਨਹੀਂ ਸੀ।

ਚੌਥਾ ਕਦਮ: ਲਿਸਨਰ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਵੱਖਰੇ-ਵੱਖਰੇ ਜਾਂਚੋ

ਉਸ ਨੈੱਟਵਰਕ ਤੋਂ ਜੁੜਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੋ ਜਿਸਨੂੰ ਸੇਵਾ ਤੱਕ ਨਹੀਂ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਤੁਸੀਂ ਨਹੀਂ ਕਰ ਸਕਦੇ। ਫਿਰ ਉਸ ਨੈੱਟਵਰਕ ਤੋਂ ਕੋਸ਼ਿਸ਼ ਕਰੋ ਜਿਸਨੂੰ ਪਹੁੰਚਣਾ ਚਾਹੀਦਾ ਹੈ, ਅਤੇ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਤੁਸੀਂ ਲਿਸਨਰ ਤੱਕ ਪਹੁੰਚਦੇ ਹੋ। ਇਹ ਦੋ ਨਤੀਜੇ ਨੈੱਟਵਰਕ ਪਹੁੰਚ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਵਿਵਹਾਰ ਤੋਂ ਵੱਖ ਕਰਦੇ ਹਨ, ਅਤੇ ਖੁੱਲ੍ਹੇਪਣ ਦੇ ਸਵਾਲ ਲਈ ਇਹੀ ਇੱਕੋ-ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਸਬੂਤ ਹਨ।

ਪਹੁੰਚਯੋਗ ਲਿਸਨਰ ਪਹੁੰਚਯੋਗ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਬਰਾਬਰ ਨਹੀਂ। TLS ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਨੀਤੀ, ਫਿਰ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਆਪਣੀ ਪ੍ਰਮਾਣਿਕਤਾ ਅਤੇ ਅਧਿਕਾਰ ਜਾਂਚੋ। ਕਾਰਪੋਰੇਟ VPN 'ਤੇ ਕਿਸੇ ਵੀ ਕਾਲਰ ਨੂੰ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਅੰਦਰੂਨੀ ਸਾਧਨ ਉਸ VPN 'ਤੇ ਹਰ ਸਮਝੌਤਾ ਹੋਏ ਲੈਪਟਾਪ ਸਾਹਮਣੇ ਖੁੱਲ੍ਹਾ ਹੈ, ਜੋ ਇੰਟਰਨੈੱਟ ਵੱਲ ਵਾਲੇ ਜੋਖਮ ਤੋਂ ਵੱਖਰਾ ਹੈ, ਪਰ ਫਿਰ ਵੀ ਜੋਖਮ ਹੈ।

ਯਾਦ ਰੱਖੋ ਕਿ ਨਿਯੰਤਰਣ ਕਿਸਮ ਅਨੁਸਾਰ ਵੱਖਰੇ ਹੁੰਦੇ ਹਨ। ਐਪਲੀਕੇਸ਼ਨ-ਪਰਤ ਫਾਇਰਵਾਲ ਇੱਕ ਲੋਡ ਬੈਲੰਸਰ ਪਰਿਵਾਰ ਨਾਲ ਜੁੜਦੇ ਹਨ, ਦੂਜੇ ਨਾਲ ਨਹੀਂ, ਇਸ ਲਈ ਬਰਾਬਰੀ ਮੰਨਣ ਦੀ ਬਜਾਏ ਤੁਹਾਡੇ ਸਾਹਮਣੇ ਵਾਲੀ ਸਕੀਮ ਅਤੇ ਕਿਸਮ ਲਈ ਅਸਲ ਵਿੱਚ ਕੀ ਉਪਲਬਧ ਹੈ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ।

ਪੰਜਵਾਂ ਕਦਮ: ਨਾਮ ਦਾ ਆਪਣਾ ਮਹੱਤਵ ਹੈ ਜਾਂ ਨਹੀਂ, ਤੈਅ ਕਰੋ

ਜਨਤਕ ਹੱਲ ਹੋਣ ਦੀ ਸਮਰੱਥਾ ਸੇਵਾ ਦਾ ਨਾਮ, ਖੇਤਰ ਅਤੇ ਪਤਾ ਰੇਂਜ ਜ਼ਾਹਰ ਕਰ ਸਕਦੀ ਹੈ। ਇਸਨੂੰ ਨੀਤੀ-ਜਵਾਬ ਵਾਲਾ ਜਾਣਕਾਰੀ ਜ਼ਾਹਰ ਕਰਨ ਦਾ ਸਵਾਲ ਮੰਨੋ, ਆਪਣੇ-ਆਪ ਵਾਪਰਨ ਵਾਲੀ ਘਟਨਾ ਨਹੀਂ: ਸੰਵੇਦਨਸ਼ੀਲ ਕਾਰੋਬਾਰੀ ਸ਼ਬਦ ਸਰੋਤ ਨਾਵਾਂ ਤੋਂ ਬਾਹਰ ਰੱਖੋ, ਅਤੇ ਜੇ ਨਾਮਕਰਨ ਪਰੰਪਰਾ ਤੁਹਾਡੀ ਇੱਛਾ ਤੋਂ ਵੱਧ ਜ਼ਾਹਰ ਕਰਦੀ ਹੈ ਤਾਂ ਜੋਖਮ ਰਿਕਾਰਡ ਵਿੱਚ ਜ਼ਾਹਰ ਹੋਣਾ ਦਰਜ ਕਰੋ।

ਜੇ ਸੰਸਥਾ ਨਿੱਜੀ ਨਾਮਕਰਨ ਅਨੁਭਵ ਚਾਹੁੰਦੀ ਹੈ, ਨਿੱਜੀ ਹੋਸਟ ਕੀਤਾ ਜ਼ੋਨ ਇੱਕ ਉਪਨਾਮ ਦੇ ਸਕਦਾ ਹੈ ਜੋ ਸਿਰਫ਼ ਸੰਬੰਧਿਤ VPC ਦੇ ਅੰਦਰ ਹੱਲ ਹੁੰਦਾ ਹੈ। ਇਹ ਵਰਤੋਂਕਾਰਾਂ ਨੂੰ ਦਿਸਣ ਵਾਲਾ ਨਾਮ ਬਦਲਦਾ ਹੈ; ਇਹ ਪ੍ਰਦਾਤਾ ਵੱਲੋਂ ਬਣਾਏ ਨਾਮ ਨੂੰ ਗੁਪਤ ਨਹੀਂ ਬਣਾਉਂਦਾ ਅਤੇ ਕੋਈ ਨੈੱਟਵਰਕ ਰਾਹ ਨਹੀਂ ਹਟਾਉਂਦਾ।

ਜਵਾਬ ਲੁਕਾਉਣ ਲਈ ਪਤੇ ਪਿੰਨ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਨਾ ਕਰੋ। ਲੋਡ ਬੈਲੰਸਰ ਦੇ ਪਤੇ ਬਦਲਦੇ ਹਨ, ਪਿੰਨਿੰਗ TLS ਜਾਂਚ ਦੀਆਂ ਆਦਤਾਂ ਤੋੜਦੀ ਹੈ, ਅਤੇ ਤੁਹਾਨੂੰ ਅਸਲ ਵਿੱਚ ਜੋ ਨਿਯੰਤਰਣ ਚਾਹੀਦਾ ਹੈ ਉਹ ਇਹ ਹੈ ਕਿ ਕੌਣ ਕਨੈਕਸ਼ਨ ਸਥਾਪਿਤ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨ ਉਹਨਾਂ ਤੋਂ ਕੀ ਮੰਗਦੀ ਹੈ। ਚਾਰ ਤੱਥ ਜਾਂਚੋ, ਲਿਖੋ, ਅਤੇ ਸਵਾਲ ਅਸਪਸ਼ਟ ਨਹੀਂ ਰਹਿੰਦਾ।